计算机弱点数据库综述与评价_计算机论文.docVIP

计算机弱点数据库综述与评价_计算机论文 计算机弱点数据库综述与评价_计算机论文 摘　要　计算机弱点数据库已成为弱点研究的重要组成部分,对收集、存储和组织弱点信息具有重要意义。本文介绍了计算机弱点的定义及分类,分析并评价了现有的弱点数据库,最后讨论了其存在的问题以及将采取的技术路线。 关键词　网络安全,计算机脆弱性,安全漏洞,弱点分类法,弱点数据库 1　引言 随着计算机技术和网络通信技术的飞速发展,Internet的规模正在不断增长。ISC组织的调查报告显示[1],1995年1月,全世界共约有584.6万台主机连入Internet,截止到2005年1月,Internet的主机数量约达到31764.6万台,在短短的十年内主机数量增长了54倍之多。 与此同时,与Internet有关的安全事件也愈来愈多,安全问题日益突出。越来越多的组织开始利用Internet处理和传输敏感数据,同时在Internet上也到处传播和蔓延着入侵方法和脚本程序,使得连入Internet的任何系统都处于将被攻击的风险之中[2]。据估计,目前大约有58000多种已知计算机病毒[3],病毒的传播和扩散也给计算机系统安全带来了严重的威胁。国际权威安全组织CERT/CC给出了1990年至2003年期间的安全事件统计报告,统计数字如图1所示,其中2003年的入侵事件竟高达137,529件,相当于2001年和2002年的总和[4],而由此造成的经济损失约为6.66亿美元[5],从历史数据上看这种趋势还在增加。 理论分析表明,诸如计算机病毒、恶意代码、网络入侵等攻击行为之所以能够对计算机系统产生巨大的威胁,其主要原因在于计算机及软件系统在设计、开发、维护过程中存在安全弱点。而这些安全弱点的大量存在也是安全问题的总体形势趋于严峻的重要原因之一[6]。图2给出了CERT/CC在1995年至2004年期间接报的计算机弱点的统计情况,从中可以看出,自2000年起,接报的弱点数逐年迅速增加,虽然近两年上升速度趋于平缓,但始终处于一个数量很高的位置上。通过与接报的安全事件的联系和比较,我们不难看出计算机弱点与安全事件之间存在着一定程度的因果关联,即随着弱点数量的增大,安全事件也逐渐增多,这一点也恰恰和理论分析观点一致。由此可见,弱点的存在对连入Internet的计算机系统的安全性产生了巨大的安全影响[7]。而在弱点存在性的问题上,Cheswick和Bellovin[8]在1994年的一份关于当今流行操作系统和应用程序的研究报告中指出软件中不可能没有缺陷。因此计算机弱点的相关研究已成为网络与信息安全领域的重要课题之一。 弱点数据库是弱点研究领域的重要组成部分,其研究目的与意义主要表现在:1)人们通过设计和开发弱点数据库来收集、存储和组织弱点信息2)建构弱点数据库以及收集维护弱点信息是一项长期而艰辛的工作,需要耗费大量的人力资源,所以大多数研究人员没有精力也没有必要重复收集弱点信息,他们往往利用已有弱点数据库的信息资源从事弱点分析等相关研究3)弱点数据库为网络蠕虫病毒的传播与防治、网络入侵检测、风险评估等安全领域提供了必要的信息支持。因此,本文将对已有弱点数据库资源进行深入的分析和综述。 2　弱点定义及分类 2.1　弱点定义 计算机弱点通常是指计算机硬件、软件或策略上的缺陷,从而使攻击者可能在未授权的情况下访问系统。弱点涉及的范围很广,覆盖计算机及网络系统的各个环节,包括路由器、防火墙、操作系统、客户和服务器软件等。在历经30多年的计算机弱点研究过程中,学者们根据自身的不同理解和应用需求对计算机弱点下了很多定义[9～12],但目前看来还没有一个统一的定义能够被人们广泛接受。其中,Krsul针对软件弱点的定义较有影响,他将一个弱点定义为“软件规范(specification)设计、开发或配置中一个错误的实例,它的执行能违犯安全策略”[11]。本文仅围绕着软件弱点的范畴展开讨论,并在修改和完善Krsul定义的基础上对弱点进行如下定义:弱点(Vulnerability)是软件系统或软件组件中存在的缺陷,此缺陷若被发掘利用则会违犯安全策略,并对系统的机密性、真实性和可用性造成不良影响。为了避免称呼上的混淆,本文将安全漏洞、脆弱性、脆弱点、安全弱点统一称作弱点,即上述名词表示同一概念。 2.2　弱点分类 为了收集、存储和组织弱点信息,人们首先要了解弱点的本质特征。通常,人们会用一个分类属性来表达弱点的一个本质特征,而为弱点的每个属性赋值的过程,就是给弱点在该维属性上分类的过程。在弱点数据库的设计与实现中,人们常常用弱点的分类属性作为数据库表字段以便表达弱点的各方面性质。因此,弱点分类工作是建构弱点数据库的基础,也是分析和评价弱点数据库的依据。 目前,很多研究机构和研